「金融系は、ログインセッションを600秒程度で切断する」だから頻繁にログインが発生し、ログインフォームに入力することを当たり前だと思わされ、フィッシング詐欺に罹るという話

takuya@osaka(令和最新版) @takuya_1st

金融系は、ログインセッションを600秒程度で切断する。 だから頻繁にログインが発生し、ログインフォームに入力することを当たり前だと思わされてる。だからフィッシング詐欺に罹る。 セッション時間を100日とかにすれば良い。セッション時間を短くするとことがセキュリティ言ってるコンサルが悪。

takuya@osaka(令和最新版) @takuya_1st

なんでそういう根本的な見直しが出来ないの。だからクソなんだよ

takuya@osaka(令和最新版) @takuya_1st

セッション時間を短くするセキュリティは時代遅れになりつつあるんだよ。気づいて。

takuya@osaka(令和最新版) @takuya_1st

取引前に再ログインでもええねん。

takuya@osaka(令和最新版) @takuya_1st

プライバシー情報が見られるリスクと フィッシングで勝手に取引されるリスク この二つをリスクベースで管理できないことが根本的な問題だと思うよ

takuya@osaka(令和最新版) @takuya_1st

文字通り「2段階」認証にして、セッション時間を「2段階」にして、トップページだけは閲覧可能にしておくとかでもだいぶ変わってくるよ。 戻るボタン禁止でセッション切れるから、フィッシング詐欺がしやすい

takuya@osaka(令和最新版) @takuya_1st

なぜなら、ユーザはログインフォームを見たら入力って学習してるし、多少変なことがあっても、ログインフォームはよく出てくるモノって過学習湿るんや

takuya@osaka(令和最新版) @takuya_1st

実際に、googleやmsはメアドは表示された状態でログイン要求されるよね？ なぜ証券会社はそれをしないの？

takuya@osaka(令和最新版) @takuya_1st

メアドが表示されるのと、ログインシールはほぼ同じだしね。

なおぱん @wlv_myzk

@takuya_1st これの原因は、ネカフェ等からアクセスしている層が一定数いるからで、そういったものを遮断すればいいのですよね。

takuya@osaka(令和最新版) @takuya_1st

@wlv_myzk いつの時代よ。スマホメインの時代に共有端末を主流に据えたセキュリティ議論してどうする

てんまにちやそ(美味しくなって新登場) @tchan65534

@takuya_1st これ本当にそうなんで、社内のセキュリティテストに引っかかるけどこの反論して毎回無視してる

takuya@osaka(令和最新版) @takuya_1st

@tchan65534 テンプレというか、チェックリスト作るのは否定しないけど、セキュリティの基本は定期的な見直しなんですよね。セキュリティ教科書の第一章にも書いてあるよね。

ヤマカガシ @smboysmgirl

@takuya_1st セッション貼りっぱなしはサーバとユーザ間にあるセキュリティ機器の仕様でセッションの上限があるからと思ったけど違ったっけ。 ネットワークの構成によるやろけど。解放してあげないとアクセスできなくなると思うんやけど違ったらごめんなさい。 pic.x.com/FwaFIqYcz6

takuya@osaka(令和最新版) @takuya_1st

@smboysmgirl ネット装置のTCPセッションとhttpsログインcookie(通称セッション)は別物で、、、

なおぱん @wlv_myzk

@takuya_1st あー、ですから過去にそういう事情があり、金融ならではの既存顧客や既存仕様の変更はまかりならん志向により、そのような状態がまかり通っていると思われるんですよ。 あくまで過去から現状を変更したくない傾向が強い、ということと思料されるので、将来、変わってくれると思いますけどね。

ヤギ＠アザースジャパン合同会社 @athers_japan

@takuya_1st FireWall等のネットワーク機器に管理できる同時セッション数の上限があるから、厳しんじゃないかな。

Keita Software Engineer in Fukuoka Yokohama @w_keita_1023

セッショントークンを搾取されるよりセッション確立を狙われて攻撃されるケースが後を絶たないですからね。セッショントークンを搾取される場合も、搾取される状態になっている時点で、リフレッシュしても即時搾取されますし。。。 x.com/takuya_1st/sta…

くにちこ＠KeplerX開発中（Kunihiko Ohnaka） @kunichiko

そうなんだよねぇ〜 最近変わった社内システムが頻繁にログインセッション切れて、しかもアプリでPWマネージャーが効かないタイプのやつで毎日のようにPWをコピペする必要があり、これは逆に危ないですよと進言してしまった。 クレカや銀行のパスワード90日ごとに変えるやつとかも。頻繁に変えるせいでPWマネージャー使っててもトラブルに遭いやすく、パスワードリセットが日常的になったりするのもよくない。

Gabriel Clarisse @GabrielClaris

100日は大袈裟だけど、ある程度は伸ばして良いのでは？ 個人的には、別角度からの認証の段階を今よりさらに増やせる機能とか仕組みの何かがあれば可能じゃないかな、と思ってる。 ただ、攻撃する側もそこを「攻略する」方法を必死で探して突いてくるから、イタチごっこだけど。 x.com/takuya_1st/sta…

Hoystar_jpn @Hoystar_jpn

現実的な話、セッションハイジャックとフィッシングってどっちの方がリスク高いんだろ？ 前者はアプリ側で対策できそうだけどブラウザだと完璧ではないし、後者はDMARCとテイクダウン自動化でリスクは減らせるけどやっぱりタイムラグがあるし。 まあ、どっちもやるのがいいんだけど。 x.com/takuya_1st/sta…

いぐぞー 旅するプログラマー @igz0

面白い問題提起だと思う。 ・NISTだと高リスク環境(AAL3)での再認証時間は15分が推奨 ・OWASPでもオンラインバンキングのタイムアウトは15分が推奨 理由はセッションの寿命が短いほど、攻撃者が有効なセッションを悪用できる時間が短くなるから。 ログインの手間はPasskey等で緩和可能かも。 x.com/takuya_1st/sta…